EUでビジネスする企業は要注意

EUのAI規制法案、制裁金はEU最高レベル

EUが進めているAI規制案は、プライバシーや人間の行動を制約するAIの開発や利用を制限あるいは禁止する。違反には「全世界の売上高の6％」という制裁金が科される可能性もある。日本企業も注視する必要がある。

公開 2021年06月17日 08時00分

更新 2022年01月07日 09時08分

著者

Cliff Saran

[Computer Weekly]

印刷する連載新着通知を受け取る

　EU（欧州連合）が、AIの信頼性とEU市民のプライバシー保護を目的とした新しい規制案を公開した。

　2021年4月中旬に草案がリークされるとEUは公式リリースを発表し、AIがもたらす特定のリスクに取り組み世界最高の標準を設定するため、「バランスの取れた柔軟な規則」を実現したいとした。

　EUは2種類のシステムに規制が必要だとしている。一つは許容できないリスクをもたらす恐れのあるシステム。もう一つは重大なリスクを提示すると考えられるシステムだ。

　Hogan Lovells法律事務所のダン・ホワイトヘッド氏（シニア弁護士）によると、この規制は製品やサービスでAIを開発および利用している企業に大きな影響を及ぼすという。

　「このAIに関する規制は、デジタルの世界と現実の世界の未来を規制する大胆かつ画期的な試みだ。この枠組みはGDPR（一般データ保護規則）が個人情報に与えたのと同レベルの影響をAIの使用にもたらす可能性が高い。AIの開発者も、それを利用する企業も一連の新たな義務に直面することになる」

　人間の安全、生活、権利に対する明らかな脅威と見なされるAIは禁止されるだろう。こうしたAIには、ユーザーの自由を奪う形で人間の行動を操作するものや政府による「ソーシャルスコアリング」を可能にするものなどが含まれる。

　EUの提案には、リスクが高いと見なされるAIの8つの応用事例が記載されている。

　これらの事例では重要なインフラ、犯罪と司法のプロセスを管理するシステム、AIによる意思決定がEU市民の生活や健康に悪影響を与える恐れのあるシステムが網羅されている。教育やトレーニング、労働者管理、信用度評価へのアクセスを拒否するために使われるAI、民間と公共のサービスや国境管理への優先アクセスに利用されるAIなども規制の候補に含まれる。

　EUのティエリー・ブルトン氏（国内市場担当委員）は次のように話す。「AIは手段であって目的ではない。AIは医療、輸送、エネルギー、農業、観光、サイバーセキュリティなど、多種多様な分野に計り知れない可能性を提供する。同時に多くのリスクももたらす」

　「本日の提案は、AIの卓越性のグローバルハブとしての位置付けを強化し、欧州におけるAIが欧州での価値と規則を尊重し、AIの潜在能力を役立てることを目的としている」

　AIに関するEUの規制では、リモート生体認証システムは高リスクのカテゴリーに分類される。つまり、その開発には厳しい要件が課される。この規制の下では、法執行を目的として公的にアクセス可能なスペースにAIベースの生体認証システムを展開することは禁止される。例外は司法機関またはその他の独立機関で、時間、地理的範囲、検索対象のデータベースも適切な制限の対象になるという。

　欧州委員会のマルグレーテ・ベステアー氏（Europe Fit for the Digital Ageエクゼクティブバイスプレジデント）は次のように話す。「AIには信頼が必須だ。あればよいというものではない。EUはこの画期的な規則により、AIが信頼されるようにグローバルなニューノーマルの開発を先導している」

　「標準を定めることで、世界中で倫理的な技術への道を開き、その過程でEUが競争力を維持できるようにする。この規則は将来を見据え、イノベーションに配慮しており、EU市民の安全と基本的権利が侵害される場合は厳密に介入する」

　この規則に違反した企業や組織には多額の罰金を科す予定だ。Clifford Chance法律事務所のハーバート・スワニカー氏（技術弁護士）は次のように話す。「この草案では、全世界における売上高の最大6％の罰金が科せられる違反もある。EUにおける制裁の中で最も深刻なレベルの違反にほぼ匹敵するレベルに引き上げられる」

　スワニカー氏によると、このAI規則は企業が法規制を予想して作成してきたAIの倫理原則の多くを規則として固めることになるという。「高リスクのAIは『高品質』のデータセットでトレーニングし、意図的であろうとなかろうとデータセットに一切のバイアスが組み込まれないようにする必要があるだろう」

　「この規則に準拠するには、技術チームも法務チームもデータガバナンスと管理にコストをかけ、強化する必要があるだろう。GDPRへの取り組みと同じ方法で行動を起こす必要がある」

印刷する